2026年に報告されたCVEは、1日あたり前年比131%増加しています。

Cyber Resilience Actとは

ハードウェアとソフトウェアの製品にサイバーセキュリティのルールを定めるEU法と、それが製造企業に求めること

Cyber Resilience Act（欧州サイバーレジリエンス法、CRA）、規則（EU）2024/2847は、デジタル要素を含む製品に必須のサイバーセキュリティ要件を定めるEU規則です。対象は、ルーターやスマートホームデバイスから、アプリ、オペレーティングシステム、単体で販売されるソフトウェアコンポーネントまで、デバイスやネットワークに接続するハードウェアとソフトウェアです。2024年12月10日に発効しました。メーカーは2026年9月11日から悪用されている脆弱性と重大インシデントの報告が義務付けられており、規則の残りの部分は2027年12月11日から適用されます。

義務の大部分はメーカーが負います。メーカーはサイバーセキュリティのリスクを評価し、附属書Iの必須要件に沿って製品を作り、ソフトウェア部品表（SBOM）を保持し、少なくとも5年間のサポート期間中に脆弱性に対応し、適合性評価を経てCEマーキングを貼付します。輸入業者と販売業者は、これが行われたことを確認します。罰金は最大1,500万ユーロまたは全世界の年間売上高の2.5%に達します。

CRACIは、これらの義務に必要なエビデンスのかなりの部分を自動化します。各ビルドが取り込むコンポーネントをSBOMとして記録し、出荷後も新たな脆弱性に照らして再確認し、技術文書のための監査エビデンスをエクスポートします。脆弱性を報告する必要がある場合は、お客様が当局に提出するCRAの通知の内容をCRACIが準備します。CRACIによるCRAコンプライアンスの支援をご覧ください。

What the Cyber Resilience Act asks manufacturers to do

規則(EU) 2024/2847の適用範囲、施行日、報告期限、そしてSBOMと脆弱性対応の義務がどこに定められているかを解説します。

Kubernetes Community Days Helsinki 2026でのPetteri Pulkkinen、Erika Marttinen、SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chainsの8:03～15:20。

主な期限

日付内容
2024年10月23日 欧州議会と理事会が規則（EU）2024/2847を採択
2024年11月20日 EU官報に掲載
2024年12月10日 発効
2026年6月11日 適合性評価機関の通知に関する規定（第IV章）が適用開始
2026年9月11日 悪用されている脆弱性と重大インシデントの報告（第14条）が適用開始。すでに市場にある製品も対象
2027年12月11日 規則の残りの部分が適用開始

CRAの主なポイント

必須のセキュリティ要件

製品は、市場に投入される時点からサポート期間中を通じて、附属書Iの必須サイバーセキュリティ要件を満たす必要があります。

リスクに基づく分類

ほとんどの製品はデフォルトカテゴリーです。重要製品と重大製品には、より厳格な適合性評価の手続きが課されます。

脆弱性への対応

メーカーはSBOMを保持し、脆弱性を遅滞なく修正し、悪用されている脆弱性を24時間以内に報告します。

CEマーキング

適合性評価の後、メーカーはEU適合宣言書に署名し、CEマーキングを貼付します。

文書化と透明性

技術文書は少なくとも10年間またはサポート期間中保管され、ユーザーにはサポート終了の時期が知らされます。

市場監視

各国当局は文書の提出を求め、是正措置やリコールを命じ、罰金を科すことができます。

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

CRAの影響を受けるのは誰か

メーカー

デジタル要素を含む製品を開発・製造する、または製造を委託し、有償・無償を問わず自社の名称や商標で市場に出すすべての者。EU域外のメーカーも、EUで販売する場合は対象となります。

輸入業者と販売業者

輸入業者と販売業者は、EUで製品を流通させる前に、製品にCEマーキングがあり、メーカーが義務を果たしていることを確認する必要があります。

オープンソースソフトウェア

商業活動の過程で提供されるオープンソースのみが対象です。オープンソースソフトウェア・スチュワードには簡易な制度が適用され、メーカーは組み込んだオープンソースコンポーネントについて引き続き責任を負います。

ソフトウェアとSaaSのプロバイダー

製品として販売されるソフトウェアは対象であり、製品の動作に必要なクラウドバックエンドも同様です。単体のSaaS（Software as a Service）は、CRAではなくNIS2の対象となります。

対象外：EUの医療機器、体外診断用医療機器、車両型式認証の規則ですでに規制されている製品、認証済みの航空製品、船舶用機器、同一の交換部品、および国家安全保障または防衛専用に作られた製品（第2条）。

製品カテゴリーと適合性評価

すべてのメーカーは、製品を市場に投入する前に適合性評価を実施します。評価の手続きは製品のカテゴリーによって異なります。

カテゴリー例適合性評価
デフォルト 附属書IIIまたはIVに記載されていない、ほとんどのデジタル要素を含む製品 自己評価（内部管理）が可能
重要製品、クラスI（附属書III） IDおよびアクセス管理、ブラウザー、パスワードマネージャー、VPN、オペレーティングシステム、ルーターとスイッチ、スマートホームのセキュリティ製品 整合規格、共通仕様、または認証スキームを適用する場合のみ自己評価が可能。それ以外はノーティファイドボディ
重要製品、クラスII（附属書III） ハイパーバイザーとコンテナランタイム、ファイアウォールと侵入検知システム、耐タンパー性のあるマイクロプロセッサーとマイクロコントローラー ノーティファイドボディによる第三者評価、または欧州サイバーセキュリティ認証スキーム
重大製品（附属書IV） セキュリティボックスを備えたハードウェアデバイス、スマートメーターゲートウェイ、スマートカードとセキュアエレメント 欧州委員会が求める場合は欧州サイバーセキュリティ認証。それ以外は第三者評価

必須要件

附属書Iは2つのグループの必須要件を定めています。1つ目は、文書化されたサイバーセキュリティのリスク評価に基づく、製品そのものに関する要件です。

  • 市場に投入する時点で、既知の悪用可能な脆弱性がないこと
  • セキュアバイデフォルトの設定
  • セキュリティアップデート（該当する場合はデフォルトで自動）
  • 不正アクセスからの保護、およびデータの機密性と完全性の保護
  • データの最小化、必須機能の可用性、攻撃対象領域の限定
  • ユーザーデータと設定の安全かつ恒久的な削除

2つ目は、メーカーによる脆弱性への対応に関する要件です。

  • 少なくとも最上位の依存関係を網羅したSBOM
  • 脆弱性の遅滞ない修正。可能な場合はセキュリティアップデートを機能アップデートと分けて提供
  • 定期的なセキュリティテストとレビュー
  • 協調的な脆弱性開示ポリシーと、脆弱性を報告するための連絡窓口
  • アップデートが利用可能になった時点での、修正済み脆弱性の公開
  • アドバイザリを伴う、無償かつ安全なアップデートの配布

メーカーはまた、製品の想定使用期間がそれより短い場合を除き、少なくとも5年間のサポート期間を設定し、各セキュリティアップデートを少なくとも10年間入手可能な状態に保ち、技術文書とEU適合宣言書を少なくとも10年間またはサポート期間のいずれか長い方の期間保管します（第13条）。

報告義務と期限

2026年9月11日以降、メーカーは悪用されている脆弱性と重大インシデントを、Single Reporting Platformを通じて、主たる拠点のあるEU加盟国で調整役に指定されたCSIRTとENISAに同時に通知します（第14条）。これはすでに市場にある製品にも適用されます。

ステップ悪用されている脆弱性重大インシデント
早期警告 認識してから24時間以内 認識してから24時間以内
通知 72時間以内。製品、エクスプロイト、緩和策の詳細を含む 72時間以内。初期評価と緩和策を含む
最終報告 是正措置または緩和措置が利用可能になってから14日以内 インシデントの通知から1か月以内

メーカーは、影響を受けるユーザー、また適切な場合はすべてのユーザーに対し、講じることのできる緩和策とともに通知する必要もあります。24時間の期限を守れるかどうかは、脆弱なコンポーネントを含む製品とリリースを数時間以内に把握できるかにかかっており、リリースごとのSBOMはまさにそのためのものです。

罰則

罰則は、以下の上限の範囲内で各加盟国が定めます（第64条）。市場監視当局は、製品の是正措置、市場からの撤去、リコールを命じることもできます。

違反行政上の罰金の上限
必須サイバーセキュリティ要件（附属書I）とメーカーの義務（第13条および第14条） 最大1,500万ユーロまたは全世界の年間総売上高の2.5%のいずれか高い方
輸入業者と販売業者の義務、適合宣言書、CEマーキング、技術文書、適合性評価を含むその他の義務 最大1,000万ユーロまたは全世界の年間総売上高の2%のいずれか高い方
ノーティファイドボディまたは市場監視当局への不正確、不完全、または誤解を招く情報の提供 最大500万ユーロまたは全世界の年間総売上高の1%のいずれか高い方

零細企業と小企業は24時間以内の早期警告の期限を守れなかったことで罰金を科されず、オープンソースソフトウェア・スチュワードはいかなる違反についても罰金を科されません。

オープンソースとCRA

フリーおよびオープンソースのソフトウェアは、商業活動の過程で提供される場合にのみ対象となり、オープンなリポジトリやパッケージマネージャーでプロジェクトをホストすること自体は、市場での提供にはあたりません。商用利用を想定したオープンソースプロジェクトを支援する財団などの法人であるオープンソースソフトウェア・スチュワードは、文書化されたサイバーセキュリティポリシーを持ち、市場監視当局に協力し、開発に関与する範囲で悪用されている脆弱性を報告する必要があります（第24条）。

メーカーにとって、オープンソースは他のコンポーネントと同じです。組み込む際には相応の注意（デューデリジェンス）を払い、発見した脆弱性をメンテナンスしているプロジェクトに報告し、開発した修正を共有する必要があります（第13条）。だからこそSBOMが重要です。SBOMは、各リリースにどのオープンソースコンポーネントがどのバージョンで含まれているかの記録です。

CRAが開発チームにもたらす意味

現在の製品の大部分は他者のコードです。オープンソースライブラリ、レジストリから取得したパッケージ、コンテナのベースイメージ、サードパーティのSDK、そしてそれらを組み立てるビルドツールとCI/CDパイプラインです。SolarWindsへの攻撃はビルドシステムを経由し、Log4Shellは広く使われているライブラリの脆弱性でした。どちらも完成品にまで到達しました。CRAは、組み込むサードパーティやオープンソースのコンポーネントに対するデューデリジェンスを含め、そのすべての責任をメーカーに課しています（第13条）。

実際に、CRAに備えるチームは次のことを行っています。

  • リリース時に一度だけではなく、各ビルドからCycloneDXやSPDXなどの機械可読形式でSBOMを作成し、各リリースに何が含まれるかを把握する
  • メインブランチだけでなくリリース済みのバージョンを監視する。リリース後に見つかった脆弱性も、サポート期間中は遅滞なく修正する必要があるため
  • 依存関係のポリシーを決める：新しいコンポーネントの選定とレビューの方法、アップデートを取り込む速さ、リリースをブロックする検出結果
  • 24時間の期限を想定して訓練する：誰が実際の悪用を確認し、誰が早期警告を提出し、誰がユーザーに知らせるか
  • 作業の都度エビデンスを残す。ビルドの記録、SBOM、テスト結果は、少なくとも10年間保管する必要のある技術文書の元になるため

要件をステップごとのロードマップとして確認するには、CRAガイドをご覧ください。あわせてCRAがSBOMに求めることとCRACIによるCRAコンプライアンスの支援もご覧ください。メーカーにコンポーネントを供給している場合は、サプライヤー向けSBOMガイドをご覧ください。

Cyber Resilience Actに関するよくあるご質問

CRAについてメーカーから特によく寄せられる質問に簡潔にお答えします

Cyber Resilience Actとは何ですか？

Cyber Resilience Act（CRA）、規則（EU）2024/2847は、EU市場に投入されるデジタル要素を含むハードウェアとソフトウェアの製品に対して、必須のサイバーセキュリティ要件を定めるEU規則です。設計段階から少なくとも5年間のサポート期間を通じて、脆弱性への対応、SBOM、悪用されている脆弱性の報告を含め、セキュリティの責任をメーカーに課しています。

Cyber Resilience Actはいつから適用されますか？

2024年12月10日に発効しました。第14条の報告義務は2026年9月11日から、適合性評価機関に関する規定は2026年6月11日から、規則の残りの部分は2027年12月11日から適用されます。

CRAはソフトウェアやSaaSにも適用されますか？

製品として販売または提供されるソフトウェアは対象で、アプリ、オペレーティングシステム、ファームウェア、単体で市場に投入されるソフトウェアコンポーネントが含まれます。クラウドサービスは、スマートホームデバイスを操作するためのクラウドバックエンドのように、製品のリモートデータ処理としてのみ対象となります。単体のSaaS（Software as a Service）は、代わりにNIS2の対象となります（前文12）。

CRAはオープンソースソフトウェアにも適用されますか？

商業活動の過程で提供されるオープンソースのみが対象です。非商用のオープンソースプロジェクトは対象外です。商用利用を想定したプロジェクトを支援する財団などのオープンソースソフトウェア・スチュワードには簡易な制度が適用され、罰金は科されません。オープンソースコンポーネントを製品に組み込むメーカーは、それらについて全面的に責任を負います。

CRAの報告要件は何ですか？

メーカーは、悪用されている脆弱性と重大インシデントを、Single Reporting Platformを通じて調整役のCSIRTとENISAに通知します。24時間以内に早期警告、72時間以内に通知を行い、最終報告は脆弱性の場合は修正から14日以内、インシデントの場合は1か月以内です。影響を受けるユーザーにも知らせます。

CRAはSBOMを義務付けていますか？

はい。附属書I第II部は、少なくとも最上位の依存関係を網羅した、一般的に使用される機械可読形式のソフトウェア部品表（SBOM）を求めています。SBOMは技術文書の一部であり、市場監視当局の求めに応じて提出しますが、公開する必要はありません。

CRAの罰則は何ですか？

必須要件またはメーカーの義務に違反した場合は最大1,500万ユーロまたは全世界の年間売上高の2.5%、その他の義務については最大1,000万ユーロまたは2%、当局を誤認させた場合は最大500万ユーロまたは1%です。零細企業と小企業は、24時間以内の早期警告の期限を守れなかったことで罰金を科されません。

CRAはすでに市場にある製品にも適用されますか？

報告義務は2026年9月11日から適用されます。それ以外については、2027年12月11日より前に市場に投入された製品は、その日以降に大幅に変更された場合にのみCRAの対象となります。

CRAのプロセスに必要なエビデンスを手に入れる

CRACIがビルドからSBOMを記録し、出荷したものを監視し、お客様が提出するCRAの通知を準備する仕組みをご覧ください

デモを予約 CRAが自社に適用されるか確認する